3. cikk A kritikus vagy fontos funkciókat támogató alvállalkozók igénybevételével kapcsolatos átvilágítás és kockázatértékelés

a)

a harmadik fél IKT-szolgáltatóra vonatkozó átvilágítási eljárások biztosítják, hogy e szolgáltató képes legyen megjelölni és értékelni a potenciális IKT-alvállalkozók azon operatív és pénzügyi képességeit, amelyek a kritikus vagy fontos funkciókat vagy azok érdemi részeit támogató IKT-szolgáltatások nyújtásához szükségesek, többek között azáltal, hogy – a pénzügyi szervezet ilyen értelmű előírása esetén – részt vesz a digitális működési rezilienciának az (EU) 2022/2554 rendelet IV. fejezetében említett tesztelésében;

b)

a harmadik fél IKT-szolgáltató képes arra, hogy azonosítsa a kritikus vagy fontos funkciókat vagy azok érdemi részeit támogató IKT-szolgáltatásokat nyújtó valamennyi alvállalkozót, hogy értesítse és tájékoztassa a pénzügyi szervezetet ezekről az alvállalkozókról, valamint hogy a pénzügyi szervezet rendelkezésére bocsásson minden olyan információt, amely szükséges lehet az e cikkben foglalt feltételek értékeléséhez;

c)

a harmadik fél IKT-szolgáltató biztosítja, hogy a kritikus vagy fontos funkciókat vagy azok érdemi részeit támogató IKT-szolgáltatásokat nyújtó alvállalkozókkal kötött szerződéses megállapodások lehetővé tegyék a pénzügyi szervezet számára, hogy teljesítse az (EU) 2022/2554 rendeletből és az alkalmazandó uniós és nemzeti jogszabályokból eredő saját kötelezettségeit;

d)

az alvállalkozó a szerződésben rögzített, a harmadik fél IKT-szolgáltató által biztosítottal megegyező hozzáférési és ellenőrzési jogokat biztosít a pénzügyi szervezet, az illetékes hatóságok, valamint a szanálási hatóságok számára;

e)

a pénzügyi szervezet által a jogi és szabályozási kötelezettségei teljesítéséért viselt végső felelősségének sérelme nélkül a harmadik fél IKT-szolgáltató maga is elegendő képességgel, szakértelemmel és megfelelő pénzügyi, humán és technikai erőforrással rendelkezik az IKT-kockázatok alvállalkozók szintjén történő nyomon követéséhez, többek között a megfelelő információbiztonsági standardok alkalmazása, a megfelelő szervezeti felépítés, a kockázatkezelés és a belső kontrollok, valamint a biztonsági események jelentése és az azokra való válaszadás révén;

f)

a pénzügyi szervezet megfelelő képességekkel, szakértelemmel és kellő pénzügyi, humán és technikai erőforrásokkal rendelkezik az alvállalkozónak kiszervezett, kritikus vagy fontos funkciókat vagy azok érdemi részeit támogató szolgáltatáshoz kapcsolódó IKT-kockázatok nyomon követéséhez, többek között a megfelelő információbiztonsági szabványok alkalmazása, a megfelelő szervezeti felépítés és kockázatkezelés, a biztonsági eseményekre való válaszadás, az üzletmenetfolytonosság-menedzsment és a belső kontrollok révén;

g)

a pénzügyi szervezet értékelte a kritikus vagy fontos funkciókat vagy azok érdemi részét támogató IKT-szolgáltatásokat nyújtó alvállalkozó esetleges megszűnésének a pénzügyi szervezet digitális működési rezilienciájára és pénzügyi stabilitására gyakorolt hatását;

h)

a pénzügyi szervezet értékelte a harmadik fél IKT-szolgáltató által nyújtott kritikus vagy fontos funkciókat vagy azok érdemi részeit támogató IKT-szolgáltatásokkal összefüggésben esetlegesen igénybe veendő alvállalkozók helyszíneivel kapcsolatos kockázatokat;

i)

a pénzügyi szervezet az (EU) 2022/2554 rendelet 29. cikkével összhangban lefolytatta az IKT-koncentrációs kockázat előzetes, szervezetszintű értékelését;

j)

a pénzügyi szervezet megvizsgálta, hogy vannak-e akadályai annak, hogy az illetékes hatóságok, a szanálási hatóságok vagy a pénzügyi szervezet – beleértve az általuk kijelölt személyeket is – gyakorolják az audit, ellenőrzési és hozzáférési jogokat.